VirusTotal IP地址变更：安全运维的紧急提醒
VirusTotal于2024年11月宣布IP地址与TLS证书重大变更，安全团队需及时更新防火墙白名单、验证证书信任链并调整大文件API配置，以避免服务中断或遭受中间人攻击。本文详细解读变更细节及应对策略。
🔍 Medium 其他
VirusTotal于2024年11月宣布将www.virustotal.com的IP地址从74.125.34.46变更为34.54.88.138，同时TLS证书供应商从DigiCert切换至Google Trust Services，并更新大文件上传域名的解析方式。安全团队若不及时更新防火墙规则和证书验证配置，可能导致情报服务中断或遭受中间人攻击。
来源：VirusTotal Blog | 2024-11-12 | 原文链接
🔍 关键发现
- VirusTotal主站IP将于2024年11月25日起逐步切换至34.54.88.138，旧IP 74.125.34.46将停用
- TLS证书从DigiCert通配符证书更换为Google Trust Services单主机证书，证书签发者和主题发生变化
- 大文件上传API（bigfiles.virustotal.com）由GHS负载均衡器管理，IP动态变化，要求防火墙支持动态解析
⚔️ 攻击链分析
攻击者可能在IP迁移过渡期，利用未被清理的旧IP地址部署假冒VirusTotal服务，诱导用户提交样本或泄露API密钥；若TLS证书未及时更新，中间人攻击者可伪造证书窃取流量。
🚩 失陷指标 (IOC)
34.54.88.13874.125.34.46
🛡️ 缓解建议
- ✅ 立即更新防火墙/代理白名单，添加新IP 34.54.88.138，移除旧IP 74.125.34.46
- ✅ 更新TLS证书验证逻辑，允许Google Trust Services签发的证书，检查证书主题与SAN
- ✅ 对于大文件API，确保防火墙规则基于域名（bigfiles.virustotal.com）而非IP放行，并启用DNS动态解析
涉及漏洞：[]
⚠️ 本文仅供安全研究与学习，IOC 信息请勿用于非法目的。
🤖 常见问题解答（FAQ）
❓ 为什么需要更新防火墙规则？
旧IP将于11月25日后逐步停用，若不加入新IP，防火墙将阻止对VirusTotal的访问，导致文件提交、情报查询等服务中断。
❓ TLS证书更换会影响API调用吗？
若您的代码或代理验证证书签发者（Issuer），需将信任链切换到Google Trust Services；否则连接将被拒绝。大多数SDK默认信任公共CA，无需更改。
❓ 大文件上传是否受影响？
大文件API域名bigfiles.virustotal.com由GHS负载均衡器管理，IP动态变化，建议使用域名而非IP进行连接，并确保防火墙允许HTTPS出站。